Популярным дистрибутивам на базе Linux угрожает новая уязвимость GHOST

1174

Новая уязвимость, которую уже сравнивают с Heartbleed и Shellshock, может позволить злоумышленнику получить удаленный контроль над системой. Под ударом оказались пользователи Debian 7 (wheezy), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7, Ubuntu 12.04.

Информация о новой уязвимости (CVE-2015-0235) в библиотеке glibc (GNU C Library)  впервые была опубликована во французской рассылке. Некоторые специалисты считают, что это было сделано по ошибке, так как к тому моменту никто не успел подготовить обновления.

Подробное техническое описание уязвимости и эксплойт для уязвимости можно найти на Openwall и в сообществе Rapid 7.

Специалистам, обнаружившим уязвимость, удалось подготовить специально сформированное email-сообщение, эксплуатирующее уязвимость в почтовом сервере Exim под управлением уязвимой версии Glibc. Стоит заметить, что Exim весьма широко распространен и в некоторых операционных системах является почтовым сервером по умолчанию. Но помимо этого потенциально могут быть проэксплуатированы и другие приложения:

  • SSH-серверы, использующие DNS-запросы при аутентификации с allow/deny
  • Почтовые серверы с обратными DNS-запросами
  • Многочисленные веб-приложения, которые по входным данным пользователя проводят DNS-запросы
  • СУБД MySQL, которые проводят проводящие аутентификацию по доменным именам (MySQL privileges)

Уязвимость GHOST была обнаружена в библиотеке (glibc — функции gethostbyname() и gethostbyname2()), являющейся неотъемлемой частью Linux — десктоп-компьютеров под управлением этой ОС во всем мире не так много, а вот популяция работающих на ней серверов очень велика, а это значит, что под угрозой может оказаться сетевая инфраструктура большинства технологических проектов. В других реализациях libc (такие как uclibc, musl) уязвимость отсутствует.

Ошибке было присвоено имя GHOST («призрак») — сокращение, обыгрывающее названия уязвимых функций gethostbyname() и gethostbyname2(). По одной из версий, основанных на анализе метаданных логотипа с красным привидением, специалисты знали об этой уязвимости как минимум со 2 октября 2014 года и соблюдали условия ответственного разглашения, пока разработчики исправляли ошибку.

В отличие от уязвимости в пакете OpenSSL Heartbleed, позволявшей злоумышленникам читать память сервера, ошибка GHOST позволяет захватывать управление над операционной системой с помощь удаленного исполнения кода (RCE). Поскольку опасности подвергаются главным образом серверы, проблема не должна затронуть столь широкий круг пользователей, как в случае Heartbleed, однако под угрозой оказывается инфраструктура большинства интернет-компаний.

В сравнении с другой нашумевшей уязвимостью Shellshock, эксплуатация GHOST сложнее, поскольку позволяет выполнять бинарные инструкции, а не консольные команды — это значит, что для эксплуатации необходимо обойти механизмы защиты ядра Linux.

Для того чтобы обезопасить свои серверы, необходимо установить патч (заплатку), выпущенную поставщиком соответствующего Linux-дистрибутива. Информация об уязвимости появилась 27 января, поэтому уже сегодня (28 января) должны появиться первые патчи.

Кроме того, ресурс Cyberciti.biz опубликовал инструкцию, как обнаружить все сервисы, приложения и исполняемые файлы в дистрибутиве, которые связаны с уязвимой библиотекой glibc (GNU C Library), а также устранить ошибку.

28 января 2015

19:12

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Представлен смартфон Samsung Galaxy Note8: Прием предварительных заказов начнется 24 августа42

Microsoft Project Brainwave — искусственный интеллект в реальном времени: Высокое быстродействие обеспечено использованием FPGA 2

Массивная утечка сведений о камере Nikon D850 произошла накануне анонса: В камере используется датчик изображения типа CMOS разрешением 45,7 Мп12

Ассортимент Iogear пополнила стыковочная станция GUD3C03 с портом USB-C: Кроме того, представлено устройство для работы с картами памяти GRF3C15, тоже оснащенное портом USB-C

Представлены жесткие диски Toshiba X300 объемом до 8 ТБ: Серия HDD X300 предназначена для высокопроизводительных ПК 9

Представлен Meizu M6 Note — самый значимый бюджетный смартфон компании за последнее время: Meizu M6 Note получил сдвоенную камеру и SoC Snapdragon 6259

Владельцы БПЛА DJI Spark должны обновить прошивку до 1 сентября или их дроны больше не взлетят: Компания приняла решение об обязательном обновлении прошивки16

Илон Маск впервые показал космический скафандр SpaceX : Разработчикам было крайне сложно совместить высокую степень защиты, функциональность и внешний вид скафандра62

Смартфон HTC U11 научился записывать видео в разрешении 1080p при 60 к/с: Также обновление улучшает работу всей системы в целом и повышает безопасность пользовательских данных4

Опубликовано первое официальное изображение смартфона Samsung Galaxy Note 8 в цвете Orchid Gray: Анонс Samsung Galaxy Note 8 ожидается сегодня в 18:00 по московскому времени10

Умный дверной замок Latch C оценен в $299: Вы можете пересылать посетителям или, например, курьеру, который доставляет посылку, одноразовые виртуальные ключи21

Владельцы некоторых водонепроницаемых смартфонов Sony могут получить 50% их стоимости : Пару лет назад Sony изменила правила использования своих защищенных устройств под водой18

Названы цены смартфонов Sony Xperia XZ1 и XZ1 Compact : Анонс новых смартфонов Sony ожидается 31 августа11

Аналитик компании Rosenblatt утверждает, что в этом полугодии будет выпущено 35-40 млн смартфонов Apple iPhone 8: В текущем квартале будет собрано всего 5 млн аппаратов Apple iPhone с экранами OLED7

Новый фильтр 3M, защищающий изображение на экране от посторонних глаз, на 30% прозрачнее своего предшественника: Кроме того, он уменьшает долю синего цвета8

Смартфон Vivo V7+ получит революционную фронтальную камеру: 7 сентября компания Vivo проведет пресс-конференцию, на которой будет представлен новый смартфон Vivo V7+1

Смартфон Meiigoo S8 можно спутать с Samsung Galaxy S8: В продажу новинка поступит в сентябре3

Новая экшн-камера Xiaomi Mijia Compact Camera с поддержкой RAW и 4К оценена в $105: Камера оснащена однокристальной системой Ambarella A12S75 и датчиком изображения Sony IMX3174

Fujitsu готовит к продаже производство смартфонов; в числе возможных покупателей значится Lenovo: Первый раунд торгов может начаться уже в сентябре1

Покупатели Samsung Galaxy Note 8 получат привлекательные бонусы: Samsung Galaxy Note 8 должны представить уже сегодня в 18:00 мск6

Toshiba и Western Digital могут договориться до конца месяца: Toshiba сделала приоритетными переговоры о продаже полупроводникового производства с Western Digital 1

Подтверждено существование версий Meizu M6 Note с Helio P25 и Snapdragon 625: Анонс Meizu M6 Note состоится уже сегодня

Самоуправляемый погрузчик Seegrid GP8 Series не требует вспомогательной инфраструктуры : Машина построена на улучшенной версии платформы Seegrid Smart Platform2

Фото дня: модуль 3D-камеры смартфона Apple iPhone 8: Анонс смартфона Apple iPhone следующего поколения ожидается осенью12

Объем внешнего накопителя WD My Book Duo достигает 20 ТБ: My Book Duo — самый емкий накопитель Western Digital

Объем рынка флэш-памяти типа NAND во втором квартале 2017 года превысил 13 млрд долларов: За квартал рынок флэш-памяти типа NAND вырос на 8%

Появились первые изображения камеры Olympus OM-D E-M10 Mark III, названа цена : Производитель предложит два варианта внешнего оформления камеры: черный и серебристый11

Красногорский механический завод им. Зверева готовит к выпуску полнокадровую беззеркальную камеру: Фотоаппарат будет носить марку «Зенит» 40

Huawei выпустит новый флагманский смартфон в двух версиях: Mate 10 и Mate 10 Pro: Huawei Mate 10 получит обычный экран, а Mate 10 Pro — более вытянутый 6

1318

iXBT TV

  • Обзор изогнутого монитора Samsung C24FG70FQI с поддержкой AMD FreeSync и частоты 144 Гц

  • Электро-Maybach, топовая Nokia и действительно оригинальный смартфон

  • Обзор видеоускорителя AMD Radeon RX Vega 64

  • Обзор легкой, компактной и дешевой мясорубки Kitfort KT-2101 Carnivora

  • Обзор беззеркальной фотокамеры Fujifilm X-T20

  • Обзор кинотеатрального DLP-проектора BenQ W11000 с эмуляцией разрешения 4К

  • AMD Ryzen Threadripper 1920Х и 1950X — тестирование 12-ядерного и 16-ядерного процессоров

  • Обзор мини-ПК ECS Liva Z на базе процессора Apollo Lake

  • Самый лучший процессор, неудачи Microsoft, гибкие наушники Samsung

  • Обзор цветного МФУ Xerox VersaLink C405 для малых и средних офисов

  • Обзор умного чайника Redmond SkyKettle RK-G200S с подсветкой и нагревом воды до нужной температуры

  • Конфигурируем мини-ПК: изучаем влияние памяти и накопителя на быстродействие системы

1212

Календарь

январь
Пн
Вт
Ср
Чт
Пт
Сб
Вс
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

Рекомендуем почитать